'Datensicherheit: Teil 3 - Lokal mit Truecrypt'

TrueCrypt

Wer mehr als eine Datei zu verschlüsseln hat wird TrueCrypt interessant finden, ich redete bereits davon im vorherigen Artikel der Datensicherheits-Serie. Sehr unkompliziertes Programm mit gutem Funktionsumfang und deswegen aber trotzdem nicht träge oder gar langsam. Beim Twofish-Algorithmus erreicht TrueCrypt im Ram-Benchmark knappe 50 MB/s auf meinem Rechner (Athlon 64 +3500), da dürften meine Platten langsamer sein. Andere Algorithmen stehen auch zur Auswahl.

Perfekt geeignet also um Daten abzulegen die beim Abruf nicht schon genügend Rechenpower brauchen. Spiele, Routenplanersoftware und auch Lexika würde ich jetzt nicht unbedingt darauf installieren. Musik- und Filmesammlungen hingegen klappen problemlos. Zu bearbeitende Filme dürften da schon wieder langsamer sein. Zu der üblichen Rechenzeit für die Bearbeitung gesellt sich schließlich auch noch die Rechenzeit für das Ver- und Entschlüsseln. Davon merke ich im Alltag aber mal eher nichts, selbst z.B. bei einem chkdsk nicht.

Da mir leider keine open-source Alternative für Windows bekannt ist, mit der sich alle Partitionen verschlüsseln lassen muß man sich so leider noch darauf beschränken nur das Notwendige zu verschlüsseln. So ist auch schon mal viel geholfen wenn die Festplatte zum Support muß und man vorher nicht erst alle sensiblen Daten langwierig löschen muß - was bei einer defekten Festplatte (wo man noch Garantieansprüche hat) ja auch nicht mehr immer möglich ist.

Bei mir sind zwei Festplatten mittels Hardware-Raid1 gespiegelt, und darauf setzt Truecrypt auf. Windows sieht auf dem Raid lediglich daß ich vorher eine unformatierte Partition angelegt habe. Dies sollte man dringendst machen, da es sonst zu Datenverlusten kommen kann wenn ein Partitionierungsprogramm vor sich eine leere Platte wähnt und munter drauflos Truecrypts Daten überschreibt indem es eine neue Partition anlegt.

Mit der Verschlüsselung alleine ist es aber nicht getan. Es müssen noch andere Punkte beachtet werden um das Konzept lückenloser zu machen. In diesem Fall handeln die Punkte von einer Truecrypt-Installation in Windows in der die Systempartition unverschlüsselt bleibt. Lediglich eine zweite Partition wurde komplett verschlüsselt.

• Wenn möglich sollte die Auslagerungsdatei deaktiviert werden. In ihr können sich neben sensiblen Daten auch Paßwörter befinden die sich leicht über den Ausbau der Festplatte auslesen lassen können. Sollte dafür zu wenig Hauptspeicher vorhanden sein, wenigstens die Auslagerungsdatei beim Herunterfahren löschen. Damit Windows die Auslagerungsdatei beim Herunterfahren löscht muß ein Wert in der Registry verändert werden - eine Anleitung dafür gibt es hier (mit der Hinweis daß es nicht vollständig überschrieben wird). Unter Linux gilt natürlich das Gleiche, auch hier die Swap ausschalten oder direkt mitverschlüsseln.

• Der Ruhezustand (Hibernate)-Modus sollte deaktiviert werden. Wird der Rechner in den Ruhezustand versetzt, wird der komplette Ram-Inhalt unverschlüsselt in einer Datei abgespeichert.

• Nicht als Admin arbeiten, sondern als Benutzer (diesen Punkt werde ich in Teil 7 der Serie ausführlicher behandeln). Gute Kennwörter für die Adminaccounts und den Eigenen auf dem Computer vergeben damit mit EFS-verschlüsselte Dateien nicht von Dritten entschlüsselt werden können weil sie Zugriff auf das Benutzerkonto haben. Stellenweise besitzen die Administratoren auf dem Windows-Rechner automatisch Keys zum entschlüsseln der Dateien der anderen Benutzer.

• Den Temp-Ordner mit dem Windows-eigenen EFS verschlüsseln. Word und andere Programme legen gerne Kopien von aktuell bearbeiteten Dateien dort an, diese wären dann unverschlüsselt.

• Das Profil des Browser auf dem Truecrypt-verschlüsseltem Laufwerk ablegen. Hierzu eignet sich Browser der Mozilla-Familie besser als z.B. der Internet Explorer da alle Daten zentral in einem Verzeichnis liegen. Einfach das Profil in _%userprofile%\Anwendungsdaten\Mozilla\Firefox_ wegkopieren und dann in der dortigen profiles.ini den neuen Pfad eintragen. _IsRelative _auf _0_ setzen. Wer mag kann noch den alten Ordner überschreiben.

Hier werden jetzt mit Sicherheit noch Punkte fehlen, die aber einfach von Rechner zu Rechner unterschiedlich sind. Wenn man sich bei einem Programm ganz sicher sein will daß es seine Daten nicht noch woanders ablegt sollte man es einfach per Dateimonitor oder Registrymonitor von Microsoft (ehemals Sysinternals) überwachen und gucken wo noch etwas gespeichert wird.

In der Registry können natürlich auch kompromittierende Daten abgelegt werden. Wer meint er sei sicher wenn er ein _Hidden Volume_ mit Truecrypt abgelegt hat wird sich wundern. Pfadangaben und MRUs mit dem verräterischen Hinweis auf das versteckte Laufwerk finden sich zuhauf.

Wer in diesem Fall ganz sicher gehen möchte installiert sich eine virtuelle Maschine und startet die Anwendung innerhalb dieser Umgebung. Vorausgesetzt natürlich daß die Dateien von diesem virtuellem PC auf einem Truecrypt-Laufwerk liegen. Microsofts Virtual PC finde ich hier sehr einfach in der Bedienung.